最新セキュリティマネジメント（第40回）認識すべき3原則と指示すべき重要10項目

　「サイバーセキュリティ経営ガイドライン」では、経営者が指示して確実に実施させる必要がある10項目も挙げている。管理体制構築について3項目、リスクの特定と対策の実装について3項目、インシデント発生に備えた体制構築について2項目、サプライチェーンセキュリティ対策の推進、ステークホルダーを含めた関係者とのコミュニケーション推進がそれぞれ1項目の合計5分野10項目である。

　管理体制構築で求められる3項目は、「サイバーセキュリティリスクの認識、組織全体での対応方針の策定」「サイバーセキュリティリスク管理体制の構築」「サイバーセキュリティ対策のための資源（予算、人材等）の確保」だ。いずれも経営者が決断しなければ取りかかれない。特に難しいのはリスクの認識を高めることだろう。他社の被害事例を積極的に収集して公開すると“自分ごと化”を促す効果を期待できる。

　リスクの特定と対策の実装に関する3項目は、「サイバーセキュリティリスクの把握とリスク対応に関する計画の策定」「サイバーセキュリティリスクに効果的に対応する仕組みの構築」「PDCAサイクルによるサイバーセキュリティ対策の継続的改善」だ。計画の策定やツールの導入などはテクニカルな面も大きいので、外部専門家のアドバイスも有効だ。継続的な改善にはメール訓練などを定期的に行い、改善プロセスを整えておきたい。

　インシデント発生に備えた体制構築の2項目は「インシデント発生時の緊急対応体制の整備」と「インシデントによる被害に備えた事業継続・復旧体制の整備」だ。これらはBCPの一環としてサイバーセキュリティを位置付けることが重要だ。それに沿って緊急対応体制を確立し、常時リスク監視を行っていく。あらかじめ司令塔や従業員の初動対応プロセス、障害時の復旧手順を決めておき、平時から周知しておくと迅速なインシデント対応につながる。

　サプライチェーンセキュリティ対策の推進で経営者の具体的な指示が必要な項目としては、ビジネスパートナーや委託先を含めたサプライチェーン全体の状況把握と対策を挙げている。経営者は自社のサプライチェーン全体について大所高所からリスクを俯瞰（ふかん）し、その上で経営上重要なポイントを明らかにして、サプライチェーンごとに対策を決めていくとよいだろう。

　ステークホルダーを含めた関係者とのコミュニケーションの推進では、関係者への「サイバーセキュリティに関する情報の収集、共有及び開示の促進」を挙げている。取引先だけでなく監督官庁など関係機関への通報の仕組みも必要だ。自社の置かれている状況に応じた措置が求められる。

　サイバーセキュリティリスクを減らしたい経営者はこれら10項目に関して、しっかりと指示を出して実行状況を確認しておく必要がある。これは最初に説明した経営者の3原則への認識があってできるものだ。まずは3原則をしっかり認識した上で、サイバーセキュリティ対策の強化に取り組んでいただきたい。